IT 비전공자가 생성형 AI로 기업 해킹…개인정보 820만건 빼내 돈 요구

AI 악용 90여개 업체 해킹 피의자 검거
"돈 안주면 유출" 협박…일당 7명 붙잡아
전문조직이 아닌 개인이 AI로 대규모 해킹

생성형 인공지능(AI)을 활용한 해킹으로 820만건 이상의 개인정보와 사내자료를 유출한 뒤 피해 업체들에 3억6000만원 상당의 돈을 요구하고 협박한 일당이 검거됐다.

생성형 AI를 활용해 해킹을 수행한 총책 A씨 체포 장면. 서울경찰청

서울경찰청 사이버수사대는 2025년 9월부터 최근까지 13개월간 생성형 AI 등을 이용해 90여개 업체 시스템에 침입해 개인정보 820만건을 탈취하고, 피해업체들에게 금전을 요구한 A씨(32) 등 7명을 정보통신망법 위반 및 공갈·공갈미수 혐의로 검거했다고 26일 밝혔다. 학원·병원·골프장·상조업체 등 중소기업뿐만 아니라 대기업 계열사도 피해 대상이 됐다.

경찰은 이중 해킹을 직접 수행한 총책 A씨를 피해가 신고된 15개 업체에 대해 약 90만건의 개인정보 탈취 혐의로 지난 23일 구속 송치했다. 아직 신고되지 않은 75개 피해업체에 대한 혐의도 추가 수사한 후 송치할 예정이다. 나머지 공범 6명은 불구속 상태로 수사 중이다.

이번 수사는 지난 6월 피해업체 한곳의 진정으로 시작됐고 동일 수법의 피해 신고가 전국에서 잇따르면서 지난 8월 서울경찰청 사이버수사과가 도맡아 사건을 병합 수사해왔다.

경찰은 피해업체 임직원들에게 전화·문자 등을 이용해 협박한 공범 5명을 비롯해 이들에게 범행을 교사한 공범 B씨(24)를 순차적으로 검거했다.

이달에는 피해업체의 로그 자료와 관련 증거물을 분석, 추적해 총책 A씨를 체포했다. A씨의 서울 역삼동 주거지에 대한 압수수색을 통해 해킹에 사용된 컴퓨터와 해킹도구, 협박용 계정 등 주요 증거를 확보했다.

이들은 현재까지 38개 업체를 상대로 협박해 3억6000만원 상당의 금전을 요구한 것으로 파악됐다. 다만 실제 이들에게 지급된 액수는 30만원에 그쳤다.

사내 개인정보 등을 탈취한 후 금전 협박을 한 문자 예시. 경찰청

경찰에 따르면 A씨는 IT 비전공자로 블로그, 유튜브 등을 통해 해킹 기술을 혼자 익혔다. 2019년부터 2022년까지는 보안 업체에서 모의 해킹 업무를 수행한 전력이 있다. 범행 초기에는 웹사이트 취약점을 찾아 주는 자동화 도구를 수동으로 조작해 해킹하다가 지난 8월부터 생성형 AI를 이용해 하루에 1곳씩 빠르고 광범위한 사이버 공격을 감행했다.

최근 금융권 대상 개인정보 유출에 사용된 'AI 자율 침투 테스트 시스템'을 활용해 해킹을 수행한 사실도 확인됐다.

총책 A씨의 거주지 압수수색 장면. 경찰청

특히 이번 사례로 전문 해커 조직이 아닌 개인도 AI 도움을 받으면 다수 기업을 상대로 한 대규모 해킹이 가능해졌다는 점이 확인됐다.

국가수사본부와 서울청은 AI를 악용한 해킹 범죄가 증가할 것을 대비해 대응 방안 마련을 협의해왔다. 이에 국수본은 서울청에 고성능 AI 컴퓨터를 지원했고, 서울청은 수사자료가 외부로 전송되지 않는 '내부망 생성형 AI 분석 체계'를 구축한 3가지 AI 분석 도구를 개발해 이번 사건에 활용했다.

오규식 서울청 사이버범죄수사2대장은 "수사에 투입되는 인력을 줄이고 수사 기간을 4개월로 단축하는 등 AI 분석 도구의 효과가 확인됐다"고 밝혔다.

이어 "이번 건은 생성형 AI를 악용한 대규모 해킹 및 개인정보 탈취 범행과 관련한 국내 첫 피해자 검거 사례"라며 "수사 현장에 AI 도입을 확대해 지능화되는 사이버범죄에 적극 대응할 예정"이라고 말했다.

김보경 기자 bkly477@asiae.co.kr